核心概念：限流、熔断、故障注入的定义与区别
在金融系统压力测试与稳定性保障体系中，限流（Rate Limiting）、熔断（Circuit Breaker）和故障注入（Fault Injection）是三个核心且相互关联的实践。理解它们的定义、作用边界以及协同关系，是构建高可用金融系统的基石。
核心认知：限流是“预防”，熔断是“保护”，故障注入是“验证”。三者共同构成金融系统的“免疫系统”。
1. 限流（Rate Limiting）
限流是一种主动防御机制，通过控制单位时间内允许通过的请求数量，保护系统不被突发流量冲垮。在金融系统中，限流通常作用于API网关、核心交易接口或数据库连接池。
- 核心目标：确保系统在安全负载范围内运行，避免资源耗尽。
- 典型算法：令牌桶（Token Bucket）、漏桶（Leaky Bucket）、滑动窗口（Sliding Window）。
- 金融场景：支付接口每秒最多处理500笔交易；查询接口每分钟最多1000次调用。
- 触发行为：返回HTTP 429 Too Many Requests，或进入排队等待。
实践要点：限流阈值需要基于容量评估（Capacity Planning）设定，过高则失去保护意义，过低则影响正常业务。建议结合压测数据动态调整。
2. 熔断（Circuit Breaker）
熔断是一种被动保护机制，当检测到下游服务或资源持续故障时，自动切断调用链路，防止故障级联扩散。熔断器通常包含三个状态：关闭（Closed）、打开（Open）、半开（Half-Open）。
| 熔断状态 | 含义 | 行为 | 金融场景示例 |
|---|---|---|---|
| 关闭（Closed） | 正常运行 | 请求正常通过，统计失败率 | 账户查询服务正常响应 |
| 打开（Open） | 故障保护 | 直接拒绝请求，快速失败 | 风控服务超时率超过阈值，熔断开启 |
| 半开（Half-Open） | 试探恢复 | 放行少量请求，检测是否恢复 | 允许少量交易验证风控服务是否正常 |
注意：熔断不是限流的替代品。限流控制自身的入口流量，熔断保护自身不被下游拖垮。两者应配合使用。
3. 故障注入（Fault Injection）
故障注入是一种主动验证方法，通过人为向系统引入故障（如延迟、异常、资源耗尽），观察系统在真实压力下的行为。它是混沌工程（Chaos Engineering）的核心实践。
- 核心目标：验证限流和熔断策略是否按预期生效，发现系统韧性短板。
- 注入类型：
- 延迟注入：模拟网络延迟或慢响应（如增加500ms延迟）。
- 异常注入：模拟服务返回500错误或超时。
- 资源注入：模拟CPU/内存/磁盘满载。
- 金融场景：对支付链路注入延迟，验证熔断器是否在5秒内打开；对查询接口注入高并发，验证限流是否准确拒绝超量请求。
4. 三者核心区别对比
| 维度 | 限流 | 熔断 | 故障注入 |
|---|---|---|---|
| 触发方式 | 主动控制 | 被动响应 | 主动制造 |
| 保护对象 | 自身系统资源 | 自身不被下游拖垮 | 验证整体韧性 |
| 判断依据 | 请求速率/并发数 | 失败率/超时率 | 实验假设/混沌场景 |
| 典型响应 | HTTP 429 / 排队 | 快速失败 / 降级 | 监控告警 / 策略调整 |
| 金融系统价值 | 防止流量冲垮网关 | 防止故障级联到核心账务 | 验证SLA和容错设计 |
总结：在金融压力测试中，限流和熔断是防御策略，故障注入是验证手段。先通过故障注入制造压力场景，再检验限流和熔断是否按预期工作，形成“注入-观测-改进”的闭环。